隐私风险评估实施办法.docxVIP

隐私风险评估实施办法

隐私风险评估实施办法

一、评估启动条件与对象界定在隐私风险评估实施办法中的作用

隐私风险评估（PrivacyImpactAssessment，简称PIA，亦称个人信息保护影响评估）是组织机构在开展涉及个人信息处理的活动前及过程中，系统识别、分析和评价该处理活动可能对个人信息主体合法权益造成不利影响的重要管理工具。明确评估启动条件与评估对象是本办法实施的首要环节，只有准确把握应当开展评估的情形及评估覆盖范围，才能避免评估流于形式或出现监管盲区。

（1）法定强制启动评估的情形。根据《中华人民个人信息保护法》第五十五条之规定，有下列情形之一的，个人信息处理者应当在处理活动开始前进行隐私风险评估：处理敏感个人信息，包括生物识别、、特定身份、医疗健康、金融账户、行踪轨迹以及不满十四周岁未成年人的个人信息等；利用个人信息进行自动化决策，且该决策对个人权益有重大影响，如信用评分、招聘筛选、保险费率核定等；委托处理个人信息、向其他个人信息处理者提供个人信息或公开个人信息，且涉及超出原有授权范围的转移或共享；向境外提供个人信息，包括通过安全评估、标准合同或认证路径出境的情形；处理个人信息达到国家网信部门规定数量（通常为一百万人以上）或处理活动持续周期长、涉及特殊群体权益的业务场景；其他对个人权益有重大影响的处理活动，如大规模系统性监控、公共场所人脸采集分析等。除上述